「顧客アプリ」は格好の餌食に 相次ぐ不正アクセス、自社を守る手立ては？： がっかりしないDX 小売業の新時代（4/5 ページ）

企業を狙った不正アクセスなどによる情報漏洩が後を絶たない。攻撃者がAIを使っていた例も明らかになったほか、顧客向けアプリが攻撃の入り口になっていることも分かった。今回は一連の不正アクセス事例を基に、守る側は何から手をつけるべきかを整理する。

[郡司昇，ITmedia]

AIで変わったのは「攻撃の手口」よりも「速さと数」

　AIを使った攻撃と聞くと、まったく新しい高度な手口を想像するかもしれません。しかし、攻撃者の作業の4工程（図2）は、どれも従来からある手口です。変わったのは、作業にかかる時間と、同時に狙える数です。

　米サイバーセキュリティ企業Palo Alto Networksの調査チーム「Unit 42」は9月、ある侵入事案を報告しました。人間だけなら約2週間かかる規模の作業を、攻撃者はAIエージェントを使って10時間未満で進めていました。この侵入も、外部に公開していたWebサービスから始まっています。

　これまで攻撃者は、下見や試行錯誤に時間がかかるため、売り上げの大きな企業や顧客数の多い企業を狙い、比較的価値の低いシステムや古いアプリは後回しにしていました。AIはこの制約を外しました。

AIで変わったのは「攻撃の手口」よりも「速さと数」と言える（ゲッティイメージズ）

　GMOの調査では、1台の攻撃用サーバーが約20社を標的にし、そのうち9社が同じ業種でした。同社はAIを使った攻撃用サーバーを計6台見つけています。標的のうち8社はすでに情報漏えいを公表しており、標的の業種には小売り流通も含まれていました。

　CrowdStrikeは、韓国の事案を単独の攻撃者による犯行とみています。攻撃者は、盗んだデータを売る、メッセージアプリTelegram（テレグラム）のグループまでAIに尋ねていました。換金の工程でも、攻撃者はAIに頼っていたわけです。「うちは大企業ではないから狙われない」という前提は、もう成り立ちません。

　入り口を探す速さが上がった以上、守る側も対策にかけられる時間を縮める必要があります。